Quest Diagnostics bị tấn công mạng, nhiều hồ sơ bệnh nhân có nguy cơ bị lộ

Quest Diagnostics — một trong những đơn vị xét nghiệm y tế lớn nhất nước Mỹ — vừa xác nhận bị xâm nhập trái phép vào hệ thống Quanum Lab Services Manager. Đây là nền tảng mà các khách hàng doanh nghiệp dùng để đặt lệnh xét nghiệm và tra cứu kết quả. Thiệt hại cụ thể vẫn đang được điều tra, nhưng công ty thừa nhận "một số hồ sơ bệnh nhân" có thể đã bị truy cập.

Dữ liệu y tế là mục tiêu hấp dẫn của tội phạm mạng

Diễn biến vụ việc

Theo hồ sơ công bố với cơ quan quản lý vào thứ Năm, Quest Diagnostics phát hiện sự cố vào thứ Tư và đã thông báo ngay cho cơ quan thực thi pháp luật liên bang. Công ty có trụ sở tại bang New Jersey cũng đang phối hợp với các chuyên gia an ninh mạng bên ngoài để xử lý và đánh giá phạm vi ảnh hưởng.

Hiện vẫn chưa rõ bao nhiêu bệnh nhân bị ảnh hưởng và những loại dữ liệu nào bị lộ. Quest Diagnostics khẳng định đang tiếp tục điều tra và sẽ công bố thông tin chi tiết khi có kết quả.

"Chúng tôi tin rằng một số hồ sơ bệnh nhân đã bị truy cập trong vụ việc này, nhưng phạm vi đầy đủ vẫn đang được làm rõ." — trích từ hồ sơ của Quest Diagnostics.

Không phải lần đầu bị tấn công

Đây không phải lần đầu Quest Diagnostics hứng chịu sự cố an ninh mạng ảnh hưởng đến dữ liệu người bệnh. Năm 2016, công ty từng thông báo khoảng 34.000 người bị lộ kết quả xét nghiệm cùng thông tin liên hệ trong một vụ xâm nhập trực tuyến. Đến năm 2019, dữ liệu cá nhân của khoảng 11,9 triệu bệnh nhân của Quest bị ảnh hưởng sau một vụ tấn công riêng lẻ nhắm vào American Medical Collection Agency — đơn vị thu hồi công nợ mà công ty thuê ngoài.

Chuỗi sự cố này cho thấy một vấn đề quen thuộc của ngành y tế: dữ liệu bệnh án có giá trị cao trên thị trường ngầm, trong khi nhiều hệ thống đặt lệnh và tra cứu kết quả vẫn phải mở rộng cho hàng nghìn đối tác bên ngoài.

Bối cảnh bảo mật đang nóng

Vụ việc của Quest Diagnostics diễn ra đúng thời điểm ngành an ninh mạng đang căng thẳng vì phát hiện lỗ hổng trong PHP — ngôn ngữ lập trình được cho là nền tảng của khoảng 70% website trên toàn cầu. Tuy nhiên, đại diện Quest Diagnostics xác nhận với AP rằng sự cố của họ không liên quan đến vấn đề PHP này.

Áp lực an ninh mạng không còn là chuyện riêng của ngành y tế. Thời gian gần đây, các vụ tấn công đã làm gián đoạn hoạt động của chuỗi siêu thị, hệ thống ứng dụng giáo dục cốt lõi và nhiều dịch vụ công khác. Chính phủ và doanh nghiệp trên toàn thế giới đang gấp rút vá lỗ hổng và siết chặt quy trình bảo mật.

Bài học cho doanh nghiệp Việt Nam

Với các tổ chức y tế và doanh nghiệp Việt Nam đang số hóa mạnh mẽ, vụ việc là lời nhắc nhở cụ thể:

• Hệ thống kết nối với đối tác bên ngoài thường là điểm yếu nhất — cần kiểm soát quyền truy cập theo nguyên tắc tối thiểu.
• Dữ liệu y tế là loại dữ liệu nhạy cảm nhất, việc mã hóa khi lưu trữ và khi truyền tải không còn là tùy chọn.
• Kế hoạch ứng phó sự cố phải được chuẩn bị trước, bao gồm cả nghĩa vụ thông báo cho cơ quan quản lý và người bị ảnh hưởng.

Cảnh báo về gia tăng các vụ rò rỉ dữ liệu

Câu hỏi lớn nhất hiện nay là liệu Quest Diagnostics có công bố con số thiệt hại chính xác trong vài tuần tới, và liệu cơ quan quản lý Mỹ có mở điều tra riêng về mức độ tuân thủ của công ty sau nhiều lần để lộ dữ liệu bệnh nhân hay không.